DNS泄露检测：域名查询经过了哪个解析器

查一个域名，谁在帮我找答案？

你的设备可以把查询交给递归解析器，让它代你完成查找。DNS 是查询域名资料的系统，域名就是网站使用的名字，IP 则是网络地址编号。

stub resolver 不能独自完成全部查找，要依赖递归解析器。递归解析器接下这项工作，权威服务器则掌握自己负责的那组域名记录。

网络技术文档 RFC 9499 解释这些角色，RFC 1034 说明递归查询怎样分工。你在检测里看到的查询方，不一定就是自己的设备。

页面列的是谁的 IP？

列的是到权威服务器查询的解析器地址。IP工具箱 会让浏览器查询几个不重复的专用子域名，权威端记下来的是哪些解析器 IP 来查询，再显示它们的 ASN。

子域名是一个域名下面的名字。ASN 是网络编号，这里用它看解析器所在网络，不用它确认个人身份。

这是本页对自己功能的说明，不是规范给某种检测产品下的定义。RFC 9076 提到，权威服务器看见的查询来源通常是递归解析器。

普通网页看到的公网地址是另一项结果。想查它可用 我的 IP，别把那个地址换进解析器列表里理解。

解析器能知道我打开了什么网页吗？

它能看到交给它查询的完整域名，但这不代表它拿到了网页全部内容。RFC 9076 讨论了递归端可以看见查询流量这件事。

所以，看到一个解析器，只能说明它参与了这次查询。不能因此说它知道你所有访问内容。

网页和域名查询一定走同一网络吗？

不能只凭当前连接这样判断。解析器结果不是完整路径记录，单个地址也说不清网页访问全程怎么走。

Windows 官方文档说，查询可以同时发往多个网络，虚拟网卡也可能在内。多个网络都给出肯定答复时，系统会按网络绑定顺序选取答复。

网络绑定顺序，就是系统排列这些网络的顺序。按这种机制，即使设备当前用了某个连接，也不能认定查询只涉及那个网络。

这也不是在说所有设备每次都会查出多个解析器。每次结果仍要看本次实际出现了什么。

DoT 和 DoH 加密了哪一段？

它们加密传输中的域名查询，不是让接收查询的服务器看不懂域名。接收端还要处理查询，所以传输保护和解析器能读什么要分开看。

DoT 用 TLS 保护 DNS 查询。TLS 是保护传输内容的加密技术；DoT 默认使用 TCP 853，TCP 是传送网络数据的一种协议。

RFC 7858 说明了 DoT 对途中窃听和篡改的保护。文档没有解决流量分析，也就是通过传输特征分析信息。

DoH 则用 HTTPS 传送查询和应答，默认端口是443。HTTPS 是一种加密传输方式，端口是连接所用的号码。

DoH 还要求认证服务器，也就是确认服务器身份。但按 RFC 8484，网络传输里仍有客户端 IP，可用于关联信息。

查询接收端仍能处理域名，这是结合递归端作用作出的解释。你不能仅因为用了加密 DNS，就把检测结果改读成解析器看不到名称。

ECS 为什么可能带来更多来源信息？

ECS 会携带发起查询的网络信息，让权威服务器按来源调整答复。它的全名是 EDNS Client Subnet，机制见 RFC 7871。

查询沿途的服务器也可能看见客户端地址信息。文档也谈到截短部分 IPv4 地址；IPv4 是一套 IP 编号规则，截短后不交出完整地址。

所以，不能说权威端永远只看得到递归解析器 IP。不过本页没有 ECS 检测字段，这段原理不表示本次查询已经带了这些信息。

ASN 能告诉我用了哪家服务吗？

它描述解析器网络的归属，不是你的身份。这里不会预先填入公共解析服务的 ASN，也不只凭名字认定你这次采用了哪家。

网页对外地址可看 IP 检测。两个结果各看各的，不用解析器地址补出页面没显示的内容。

这次检测会显示什么？

IP工具箱 会列出查询这些专用域名的解析器 IP。每个解析器的 ASN 也会显示，帮助你看参与查询的网络。